Configurar permissões baseadas em funções em planos Enterprise

Este guia o orienta na configuração de permissões baseadas em funções para sua organização Enterprise. Isso permite controlar quais recursos e conectores equipes específicas ou grupos de membros podem acessar, e delegar acesso administrativo específico, como faturamento ou gerenciamento de usuários, em vez de dar a todos as mesmas permissões.

Antes de começar, certifique-se de estar familiarizado com:

Você precisará de acesso de Proprietário ou Proprietário Primário à sua organização Enterprise, ou uma função personalizada com Identidade e Acesso definido como Gerenciar.

Verifique quais capacidades estão habilitadas no nível da organização. Vá para Configurações da organização e certifique-se de saber quais capacidades os membros podem acessar atualmente. Para configurações gerenciadas por RBAC, tanto a configuração da organização quanto a configuração de função são necessárias para que os usuários obtenham acesso.

Faça backup de sua lista de membros. Exporte um CSV de seus membros atuais de Configurações da organização > Membros antes de fazer qualquer alteração. Se algo der errado durante a migração, isso fornece uma referência para restaurar o acesso. Consulte Gerenciar membros em planos Team e Enterprise.

Determine quais equipes ou funções precisam de cada capacidade. Por exemplo, Engenharia obtém Claude Code + Modo Rápido e Marketing obtém Cowork + Busca na Web. A partir daqui, defina suas funções personalizadas.

Planos de dupla licença. Se sua organização está em um plano Enterprise de dupla licença (com assentos Chat e Chat + Claude Code), funções personalizadas não substituem restrições no nível de assento. Um membro atribuído a um assento somente Chat não pode acessar Claude Code mesmo se sua função personalizada o conceder. O mesmo se aplica ao contrário: se a função personalizada de um membro não conceder a capacidade de chat, ele não terá acesso ao chat independentemente do tipo de assento. Planeje sua estrutura de função com atribuições de assento em mente.

Decida como você criará grupos. Você pode criar grupos manualmente no Claude, ou sincronizá-los de seu provedor de identidade (IdP) via SCIM. Você também pode usar ambos os métodos simultaneamente. Se você planeja usar grupos IdP do Okta, Entra ID ou outro provedor, certifique-se de que a sincronização de diretório SCIM está configurada. Consulte Configurar provisionamento JIT ou SCIM.

Adicione os conectores que você planeja governar. As permissões de conectores cobrem apenas conectores que um Proprietário ou Proprietário Primário já adicionou em Configurações da organização > Conectores e conectado com credenciais de administrador. Revise também sua política de ferramenta em toda a organização lá, já que concessões de função se estreitam dentro dela e não podem se ampliar além dela. Consulte Usar conectores para estender as capacidades do Claude.

Antes de criar qualquer coisa, decida quais recursos cada equipe ou grupo de membros deve ter acesso. Aqui estão quatro padrões comuns:

Esta é a abordagem recomendada para a maioria das organizações. Crie uma função "Acesso Padrão" para todos com recursos comuns como busca na web, memória e projetos. Em seguida, crie funções aditivas que concedem capacidades específicas — por exemplo, uma função "Cowork Habilitado" que apenas adiciona Cowork. Atribua todos os membros à função base através de um grupo "Todos os Usuários", e adicione membros específicos a grupos adicionais que adicionam recursos extras.

Este padrão é flexível porque as permissões são aditivas — combinar uma função base com funções aditivas se compõe de forma limpa sem conflitos.

Crie camadas distintas: "Acesso Completo" com todos os recursos, "Acesso Padrão" com a maioria dos recursos, e "Acesso Restrito" com recursos mínimos. Cada membro entra em exatamente um grupo atribuído a uma camada.

Crie funções que mapeiem para departamentos: "Engenharia" com chat, Cowork, Claude Code e execução de código; "Pesquisa" com chat, busca na web, memória e projetos; "Negócios" com chat, busca na web e apenas projetos. Atribua cada grupo de departamento à sua função correspondente.

Crie funções que delegam partes da administração sem conceder a função Proprietário. Uma função personalizada com permissões de administrador não precisa de nenhuma capacidade de usuário, e vice-versa. Você pode criar uma função "Finanças" que concede acesso de Faturamento mas nenhuma capacidade de chat ou Claude Code, ou uma função "Líder de Engenharia" que concede Claude Code mais acesso de visualização de Análises. Saiba mais sobre permissões de administrador para funções personalizadas.

Lembre-se: qualquer recurso que você queira controlar por grupo deve estar habilitado no nível da organização. Se um recurso está desativado no nível da organização, nenhuma função personalizada pode conceder acesso a ele.

Crie suas funções personalizadas antes de habilitar qualquer recurso ou migrar membros. Isso garante que suas funções estejam prontas para aplicar acesso no momento em que os recursos forem ativados.

Alterações de função podem levar até 15 minutos para entrar em vigor. Os membros podem precisar atualizar seu navegador para ver o acesso atualizado.

Consulte Gerenciar funções personalizadas em planos Enterprise para detalhes sobre capacidades disponíveis, permissões de administrador e conectores.

Defina permissões de administrador em cada função para delegar acesso a configurações de administrador, como faturamento, gerenciamento de usuários ou privacidade, sem conceder a função Proprietário. Esta etapa é opcional. Se você não configurá-la, as funções não concedem acesso de administrador e a administração permanece com Proprietários e Proprietários Primários. Para saber o que cada área de permissão cobre, consulte Gerenciar funções personalizadas em planos Enterprise.

A aba Permissões lista cada área de administrador: Identidade & Acesso, Faturamento, Análises, Privacidade, Gerenciamento de Usuários e Bibliotecas. Defina cada área de administrador para uma das seguintes opções:

Dentro de uma área, você concede todos os direitos de Visualizar ou todos os direitos de Gerenciar. Você não pode conceder ou restringir páginas ou configurações individuais.

Verifique as permissões de administrador após migrar membros para funções "Personalizadas" (Etapa 7). Consulte Etapa 11: Verificar e monitorar.

Defina permissões de conector em cada função para controlar quais conectores e quais ferramentas nesses conectores a função pode usar. Esta etapa é opcional. Se você não configurá-la, suas funções voltarão ao comportamento padrão descrito abaixo. Para saber como o modelo de permissão funciona de ponta a ponta, consulte Gerenciar funções personalizadas em planos Enterprise.

As configurações padrão para novas funções são permissivas. Ao criar ou modificar uma função, confirme as configurações em cada aba para evitar conceder permissões não intencionais.

A aba Conectores lista uma linha Todos os conectores no topo, seguida por cada conector que sua organização adicionou. Cada linha tem um menu suspenso com quatro opções:

Escolher "Sempre permitir", "Precisa de aprovação" ou "Bloqueado" aplica esse nível a todas as ferramentas no conector. A linha Todos os conectores funciona da mesma forma um nível acima: define uma linha de base para cada conector de uma vez, incluindo qualquer conector que você adicione posteriormente. Use-a para definir um padrão da função e, em seguida, substitua conectores individuais.

Defina um conector como Personalizado para revelar suas ferramentas como linhas individuais. Cada ferramenta tem seu próprio menu suspenso: "Sempre permitir", "Precisa de aprovação" ou "Bloqueado".

Permissões por ferramenta permitem que uma função acesse parte de um conector. Por exemplo, com Jira definido como Personalizado, sua ferramenta search_issues definida como "Precisa de aprovação" e todas as outras ferramentas Jira definidas como "Bloqueado", membros com a função podem pesquisar Jira, mas nada mais. Claude vê apenas as ferramentas que você concedeu, portanto, pedir-lhe para criar um ticket retorna "Não tenho uma ferramenta para isso" em vez de um erro.

Como as permissões de conector são aditivas entre funções, bloquear um conector em uma função não tem efeito em um membro que também possui outra função que o concede. Cada linha de conector mostra um aviso quando outras funções concedem o mesmo conector em um nível diferente. O aviso nomeia essas funções e vincula a elas, e a concessão mais permissiva é a que se aplica.

Se você tiver edições não salvas ao abrir uma função vinculada, será solicitado que as descarte primeiro.

Verifique as permissões de conector após migrar membros para funções "Personalizadas" (Etapa 7). Consulte Etapa 11: Verificar e monitorar.

Defina o acesso ao modelo em cada função para controlar quais modelos Claude a função pode usar, limitar o nível de esforço máximo por modelo e escolher o modelo em que novas conversas começam. Esta etapa é opcional; se você não configurá-la, novas funções podem usar cada modelo habilitado no nível da organização, em qualquer nível de esforço, e começar no modelo padrão da organização.

Para saber como as configurações de acesso ao modelo e modelo padrão funcionam de ponta a ponta, consulte Gerenciar acesso ao modelo para sua organização e Definir um modelo padrão para sua organização.

Em Acesso ao modelo, ative ou desative cada modelo para essa função. Modelos desabilitados no nível da organização aparecem, mas não podem ser habilitados aqui até que você os ative para a organização em Configurações da organização > Modelos. Os modelos Haiku estão sempre ativados e não podem ser desabilitados.

Para limitar o nível de esforço que uma função pode selecionar em um modelo, clique no ícone de engrenagem ao lado do modelo e escolha um nível.

Em Modelo padrão, opcionalmente selecione o modelo em que novas conversas começam para essa função. Apenas modelos aos quais a função tem acesso podem ser selecionados.

Verifique o acesso ao modelo após migrar membros para funções "Personalizadas". Consulte Etapa 11: Verificar e monitorar.

Se você usar sincronização de diretório SCIM, poderá sincronizar grupos do seu provedor de identidade em vez de criá-los manualmente. Para detalhes sobre sincronização de grupos SCIM, consulte Gerenciar grupos e limites de gastos de grupo em planos Enterprise.

Múltiplas organizações sob a mesma organização pai: Os grupos são gerenciados no nível da organização pai e se propagam para todas as organizações filhas. Você pode ver membros de outras organizações listados em um grupo—isso não significa que eles têm acesso à sua organização. As funções personalizadas atribuídas a um grupo concedem recursos apenas aos membros que fazem parte de sua organização específica.

Se você solicitar mover uma organização de um pai para outro (isso é raro na prática), os grupos e funções ficarão indefinidos e você precisará recriá-los.

Antes de migrar membros para funções personalizadas, confirme que cada membro que você planeja migrar está em pelo menos um grupo atribuído a uma função personalizada. Membros que são migrados sem cobertura de grupo ou função perderão acesso a todos os recursos governados.

Para que as capacidades de função personalizada entrem em vigor, os membros devem ter sua função definida como "Personalizado." Membros com as funções Usuário, Admin ou Proprietário obtêm suas permissões dessas funções diretamente, não de funções personalizadas.

Escolha o caminho de migração com base em se sua organização já habilitou mapeamentos de grupo:

Use este caminho apenas se sua organização já habilitou mapeamentos de grupo para atribuição de função. Se você ainda não estiver usando essa configuração, pule para o Caminho B.

Membros em grupos IdP mapeados para funções "Personalizado" seguem as permissões das funções personalizadas atribuídas aos seus grupos no Claude. Membros em grupos IdP mapeados para Usuário seguem as configurações de capacidade no nível da organização. Se um membro estiver em grupos em ambos os mapeamentos, as funções "Personalizado" têm precedência.

Use este caminho se sua organização não habilitou mapeamentos de grupo.

Recomendamos migrar primeiro um grupo piloto—uma equipe ou departamento—e verificar se seu acesso está correto antes de expandir para o resto da organização.

Qualquer que seja o caminho que você use, recomendamos migrar em etapas:

Habilite recursos no nível da organização apenas após as funções, grupos e migração de membros estarem completos. Isso garante que as capacidades de função personalizada já estejam em vigor, sem janela onde membros não autorizados possam acessar um recurso.

Para qualquer recurso que você deseje controlar por grupo:

Habilitar um recurso no nível da organização não significa que todos o obtenham—as permissões de função personalizada já estão em vigor para controlar quem pode usá-lo. Pense no botão no nível da organização como tornando o recurso "disponível para atribuição baseada em função" em vez de "ativado para todos".

Navegue até a página "Uso" para atribuir um limite de gastos mensal por usuário a qualquer grupo.

Observe as seguintes regras de precedência:

As alterações de associação entram em vigor automaticamente—os usuários herdam ou perdem limites assim que sua associação ao grupo muda. Relevante apenas para organizações com faturamento baseado em uso.

Se você configurou permissões de administrador, também verifique:

Se você configurou permissões de conector, também verifique:

Se você configurou acesso a modelos, também verifique:

As alterações de função podem levar até 15 minutos para entrar em vigor em toda a plataforma. Os membros podem precisar atualizar seu navegador para ver o acesso atualizado.

SCIM se conecta às suas capacidades baseadas em funções através de dois mecanismos que funcionam juntos.

Isso controla qual função integrada um membro recebe quando é provisionado. Mapeie seus grupos IdP para funções "Personalizadas" para que o acesso dos novos membros seja automaticamente governado pelas capacidades de função personalizada.

Isso extrai seus grupos IdP para Claude para que possam ser atribuídos a funções personalizadas.

Se você notar que sua estrutura de função está mal configurada após a migração:

Se você habilitou mapeamentos de grupo durante a configuração e perdeu o acesso de administrador, siga as etapas de recuperação em Configurar provisionamento JIT ou SCIM em "Perdi o acesso de Administrador/Proprietário após habilitar mapeamentos de grupo."

Sim. O botão no nível da organização deve estar ativado para que as funções personalizadas controlem o acesso por membro. Se um recurso estiver desativado no nível da organização, ninguém poderá acessá-lo independentemente de sua função. Pense nisso como um interruptor principal—as funções personalizadas controlam quem obtém acesso abaixo dele.

Ele não tem permissões de função personalizada, portanto todos os recursos que exigem permissões ficam acinzentados ou ocultos. Certifique-se de que cada membro cuja função está definida como "Personalizado" esteja em pelo menos um grupo atribuído a uma função personalizada.

Ou o modelo está desabilitado no nível da organização (Configurações da organização > Modelos) ou nenhuma das funções personalizadas do membro a concede. As desabilitações no nível da organização afetam todos, incluindo Proprietários e Administradores.

Os membros nessa função não verão a interface de chat do Claude. Eles chegarão à página de configurações quando fizerem login. Se sua função conceder outros produtos como Cowork ou Claude Code, eles permanecerão acessíveis na página de configurações e nos aplicativos relevantes.

O chat está habilitado por padrão em todas as funções personalizadas, portanto você só precisa se preocupar com isso se desabilitou intencionalmente o chat para uma função.

Sim. Os membros com as funções Usuário, Administrador ou Proprietário não são afetados pelas permissões de função personalizada porque obtêm suas permissões diretamente dessas funções. Apenas membros com uma função definida como "Personalizada" são controlados pelo sistema de grupo e função. Isso permite migração gradual.

As permissões são aditivas. Se qualquer função na cadeia de um membro conceder um recurso, ele o terá. Você não pode usar uma função para remover uma permissão concedida por outra função.

Sim. Ambos os tipos podem ser atribuídos a funções personalizadas. A diferença é que a associação ao grupo SCIM é gerenciada no seu provedor de identidade, enquanto a associação ao grupo manual é gerenciada nas configurações da organização do Claude.

Não. Proprietários e Proprietários Primários sempre têm acesso total a todos os recursos.

Grupos e sincronização SCIM são gerenciados no nível da organização pai e compartilhados em todas as organizações filho. Atribuições de função e limite de gastos são configuradas independentemente em cada organização filho — alterações em uma organização filho não afetam outras. Alterações de associação ao grupo e ressincronizações SCIM se propagam em todas as organizações filho sob o mesmo pai.

Cada função existente é inicializada com a concessão "Todos os conectores" em "Sempre permitir", portanto o acesso dos membros não muda na habilitação. Você restringe o acesso a partir daí.

"Precisa de aprovação" em cada conector. O fluxo de criação de função passa pela guia Conectores para que você veja isso antes de salvar.

Uma função cuja linha "Todos os conectores" está definida como "Sempre permitir", "Precisa de aprovação" ou "Bloqueado" cobre o novo conector nesse nível automaticamente. Uma função cuja linha "Todos os conectores" está definida como "Personalizado" trata o novo conector como "Bloqueado" até que você o configure.

Verifique se o membro possui outra função que o concede, pois a concessão mais permissiva vence entre funções. O aviso de conflito na linha do conector lista essas funções. Também confirme se a função do membro está definida como "Personalizado".

Não. A política em toda a organização é o limite máximo. Uma ferramenta bloqueada lá é bloqueada para todos, independentemente das concessões de função.

A função pode concedê-la, mas a configuração mais restritiva vence, portanto os membros a veem limitada a "Precisa de aprovação". Para permitir que os membros definam "Sempre permitir", primeiro aumente a política em toda a organização para "Sempre permitir".

Sim. Defina o conector como "Personalizado", defina a ferramenta como "Sempre permitir" ou "Precisa de aprovação" e deixe o resto "Bloqueado".

Não. Os recursos integrados são governados na guia Capacidades. A guia Conectores governa conectores que sua organização adicionou.

As alterações de função podem levar até 15 minutos para entrar em vigor. Os membros podem precisar atualizar o navegador.

Apenas se sua função incluir Identidade e Acesso definido como Gerenciar, que cobre edição de funções e grupos. Reserve essa permissão para administradores de segurança e TI confiáveis, pois pode ser usada para alterar definições de função, incluindo as suas.

Não. As permissões de administrador se aplicam apenas a membros em uma função personalizada. Os membros em uma função integrada mantêm o acesso que essa função concede. Para dar a alguém permissões de administrador específicas, altere o membro para uma função personalizada e adicione-o a um grupo atribuído a uma função com as permissões necessárias. Tenha em mente que isso remove seu acesso anterior à função integrada.

As configurações da organização mostram apenas as seções que suas permissões cobrem. As seções às quais não têm acesso são ocultadas completamente de suas configurações da organização.

Configurações da organização > Funções mostra as permissões de administrador que cada função personalizada concede, e Configurações da organização > Grupos mostra quais grupos são atribuídos a cada função e quem pertence a eles. Para verificar um membro específico, procure seus grupos em Configurações da organização > Membros, depois as funções às quais esses grupos são atribuídos.

Crie uma função que conceda acesso a várias áreas ou adicione o membro a vários grupos cujas funções cobrem as áreas necessárias. As permissões se combinam de forma aditiva.